VIP20

本课程属于：005-TEE安全启动 启动链与BSP系统构建 · 共 20 门相关课程，组合学习更完整。

查看所属VIP全部课程 →

← 返回所属目录咨询 / 购买

UEFI与TPM可信启动故障定位及修复

📚 共计 30 章节

可信启动概述

什么是可信启动、为什么需要、核心组件 (BIOS/UEFI, Bootloader, 内核, initramfs)

UEFI安全启动原理

Secure Boot工作流程、密钥管理 (PK, KEK, db, dbx)、签名与验证

TPM与可信度量

TPM芯片、PCR寄存器、度量启动 (Measured Boot)、远程证明基础

GRUB2引导加载器

配置文件结构、内核参数传递、签名验证、常见故障场景

内核与initramfs签名

内核镜像签名、initramfs完整性校验、模块签名、Kernel Lockdown

MOK (Machine Owner Key) 管理

MOK概念、添加/删除、MOK管理器、shim引导链

Secure Boot故障排查

密钥失效、签名验证失败、dbx更新、恢复模式

故障Secure Boot

TPM故障排查

TPM不可用、PCR不匹配、Sealing/Unsealing失败、清除与重置

GRUB2故障排查

配置文件错误、内核参数错误、引导分区损坏、chroot修复

initramfs故障排查

initramfs缺失/损坏、dracut/mkinitcpio重建、缺失驱动、根挂载失败

initramfs重建

内核崩溃 (Kernel Panic) 分析

常见panic原因、kdump/crash工具、分析vmcore、定位驱动

文件系统完整性检查

dm-verity原理、fsck修复、只读挂载、坏块处理

IMA (Integrity Measurement Architecture)

IMA概述、度量策略、IMA日志分析、与TPM联动

EVM (Extended Verification Module)

EVM原理、HMAC密钥管理、文件属性保护、常见问题

SELinux与可信启动

策略加载、标签一致性、avc审计日志、策略违规导致启动失败

AppArmor与可信启动

配置文件、模式切换 (enforce/complain)、启动时策略加载失败

UEFI变量管理

efibootmgr使用、BootOrder修改、BootNext、变量存储空间不足

固件更新与回滚

UEFI Capsule更新、fwupd、固件签名验证、回滚风险与策略

磁盘加密与可信启动

LUKS加密、TPM解锁密钥、Clevis/Tang网络解锁、密码遗忘恢复

网络引导 (PXE/iPXE) 安全

HTTP Boot、iPXE脚本签名、TLS证书、DHCP劫持防护

容器可信启动

容器镜像签名 (cosign)、完整性校验、运行时安全策略、Kata Containers

虚拟化可信启动

vTPM配置、虚拟UEFI安全启动、信任链、SEV-SNP/TDX简介

嵌入式设备可信启动

ARM Trusted Firmware、OPTEE、安全OTP、硬件信任根

日志与审计

systemd-journald、dmesg、auditd规则、日志持久化与轮转

诊断工具集

sbctl, mokutil, tpm2-tools, pesign, efitools, keyutils

自动化测试框架

cavil (LTP子项目), kvm-unit-tests, Secure Boot测试, swtpm

测试自动化

灾难恢复方案

Live CD/USB救援、chroot修复、备份恢复密钥、重建引导加载器

合规与审计

NIST SP 800-155, TCG规范, FIPS 140-3, 通用标准 (Common Criteria)

案例研究1：Secure Boot部署失败

某Linux发行版Secure Boot部署失败分析

案例Secure Boot

案例研究2：大规模TPM故障

大规模服务器集群TPM故障排查与自动化修复